Virements détournés sur Booking.com : ce qui s'est passé, comment s'en protéger

Rédigé d'après 9 sources : Polaris Holdings, TechCrunch, Ulysse, Journal de l'Économie, Commission européenne, Microsoft Threat Intelligence, Booking.com, Cybermalveillance.gouv.fr et 17Cyber. Les numéros dans le texte renvoient à chacune.Voir les sources

Des coordonnées bancaires remplacées

Polaris Holdings, groupe hôtelier coté à la Bourse de Tokyo, a détecté le 23 mai 2026 une anomalie sur son compte de groupe Booking.com. Son enquête a montré qu'un tiers s'y était connecté et avait remplacé, pour plusieurs hôtels, le compte bancaire qui reçoit les versements par un compte lui appartenant. Pour un hôtel, une partie des sommes dues a été virée sur ce compte : environ 9 millions de yens de perte à la date du communiqué, le 28 mai. Pour les autres, la modification a été repérée à temps et aucun virement n'est parti¹.

Au même moment, des voyageurs ayant réservé dans certains de ces hôtels ont reçu des messages d'hameçonnage. Le groupe pense que les informations ont pu être prises dans l'interface de gestion de Booking.com, et vérifie aussi une fuite possible par un outil externe de gestion des réservations. Il a changé les mots de passe de tous ses comptes Booking.com et des outils reliés, et demandé à Booking.com les journaux de connexion¹.

Des données de réservation dans la nature

En avril 2026, Booking.com a prévenu des clients que des tiers non autorisés avaient pu consulter des données de réservation : nom, adresse e-mail, numéro de téléphone, détails du séjour. L'entreprise indique que les données financières n'ont pas été touchées et a changé le code PIN des réservations concernées. Elle n'a pas dit combien de clients étaient concernés².

Avec ces informations, un faux message peut citer le nom du voyageur, ses dates et son hôtel. C'est l'un des risques que la Commission européenne examine désormais⁵.

À Paris, des appartements fantômes

Cet été, plusieurs dizaines de touristes ont payé des appartements près de la tour Eiffel qu'ils n'ont jamais pu occuper, selon Le Parisien. Le responsable de la fraude de Booking.com a reconnu que ces incidents n'auraient pas dû se produire³.

D'après le Journal de l'Économie, les escrocs ne se contentent plus de créer de fausses annonces : ils prennent la main sur des annonces existantes, avec leurs vraies photos et leurs avis, et redirigent les paiements vers leurs propres comptes⁴.

L'Europe ouvre une enquête

Le 21 octobre 2026, la Commission européenne a ouvert une procédure formelle contre Booking.com au titre du règlement sur les services numériques. Elle examine trois points⁵ :

• les fausses annonces et les usurpations d'identité, et la façon dont Booking.com les retire ;
• l'hameçonnage rendu possible par le partage des données de réservation avec les hébergeurs et par la messagerie de la plateforme ;
• l'affichage des annonces mieux classées en échange d'une commission plus élevée, qui devraient être signalées comme de la publicité.

L'ouverture de la procédure ne préjuge pas de son issue⁵.

Comment les escrocs entrent

Microsoft a décrit en mars 2025 une campagne visant le personnel des hôtels. De faux e-mails « Booking.com » évoquent un avis négatif, une demande de voyageur ou une vérification de compte. Le lien mène à une fausse page qui fait lancer un programme sur l'ordinateur, conçu pour voler les identifiants et les données financières⁶.

Une fois dans l'extranet, l'escroc peut changer les coordonnées de versement et écrire aux voyageurs depuis la vraie messagerie de l'établissement¹.

Le maillon visé, c'est l'accès de celui qui gère l'annonce.

Nos règles chez Haustmann

• Double authentification sur chaque compte. Airbnb, Booking.com, Vrbo, et la messagerie qui reçoit leurs e-mails. Booking.com la recommande à ses partenaires⁷, Cybermalveillance.gouv.fr aussi⁸.
• Un accès par personne. Pas de mot de passe partagé : chaque membre de l'équipe a son propre identifiant, retiré dès qu'il ne travaille plus avec nous.
• Aucun changement de coordonnées bancaires sur la foi d'un message. Toute modification est confirmée par un appel, à un numéro que nous avions déjà. C'est la règle recommandée contre les faux ordres de virement⁸. Nous ne vous demanderons jamais de changer vos coordonnées par e-mail.
• Pas de lien ouvert depuis un e-mail. Nous répondons aux voyageurs et aux plateformes depuis l'application ou l'extranet, que nous ouvrons nous-mêmes. Le service partenaires de Booking.com ne demande jamais de mot de passe⁷.
• Le paiement reste sur la plateforme. Nous ne demandons jamais à un voyageur de payer par lien, par virement ou par WhatsApp, et nous le lui écrivons dès la réservation.
• Les accès vérifiés chaque mois. Coordonnées de versement et liste des personnes qui ont accès à chaque compte.

Ce que vous pouvez faire

• Protéger d'abord votre messagerie : c'est elle qui reçoit les liens pour changer vos mots de passe. Un mot de passe solide et la double authentification⁸.
• Ne jamais donner un mot de passe ou un code reçu par SMS, même à quelqu'un qui se présente comme Booking.com, Airbnb ou Haustmann. Le service partenaires de Booking.com ne demande que le numéro de l'établissement⁷.
• Signaler tout de suite une activité inhabituelle à la plateforme, depuis son site ou son application⁷.

Si cela arrive

• Prévenir la plateforme depuis l'application ou l'extranet, jamais par un lien reçu⁷.
• Changer les mots de passe, à commencer par celui de la messagerie⁸.
• Appeler la banque tout de suite pour demander le retour des fonds, et garder les preuves : messages, captures d'écran, ordres de virement⁸.
• Porter plainte : la banque peut l'exiger pour rembourser⁸. 17Cyber, le service de la Police nationale, de la Gendarmerie nationale et de Cybermalveillance.gouv.fr, aide à identifier l'attaque et indique les démarches⁹.